Kunskapskartan
Skuggagenter
En integration ärver den byggandes behörighet, en gräns satt för vad en människa hinner på en dag.
En utvecklingsledare bygger ett stöd som varje natt läser nya ärenden och lägger en sammanfattning i ett delat dokument. Det fungerar. Enheten börjar använda sammanfattningen i stället för att öppna ärendena.
Skillnaden mot skugg-AI är att här bygger någon något. En medarbetare med teknisk vana kopplar ihop ett AI-verktyg med ett verksamhetssystem, och kopplingen kör med hennes egen inloggning.
En integration ärver alltså den byggandes behörighet. En handläggares behörighet är satt för vad en människa hinner göra på en dag. Den gränsen försvinner när ett program bär den.
Ni förlorar dessutom två saker ni tror er ha. Era spår visar en läsning gjord av henne och inte av ett program, och skiljer inte de två åt. Och er bild av vilka system som talar med varandra stämmer inte längre, vilket betyder att en ändring i ett källsystem kan bryta ett arbetsflöde ingen känner till.
Det som gör genvägen till ett problem är inte att den finns. Det är att andra börjar luta sig mot den.
Så här går det fel
Efter ett år slutar hon, kontot stängs, och sammanfattningen uteblir utan att någon vet varför.
När det reds ut visar det sig att stödet läst ärenden också från en enhet hon aldrig arbetat i, eftersom hennes behörighet omfattade dem. Ingen logg skiljer den läsningen från hennes egen, så omfattningen går inte att avgränsa i efterhand.
Vad det innebär juridiskt
En integration som hämtar personuppgifter ur ett verksamhetssystem är en behandling myndigheten ansvarar för, även när ingen beslutat om den. Saknas den i er förteckning över behandlingar saknas också bedömningen av ändamål och rättslig grund. Går uppgifterna vidare till en extern tjänst är det ett utlämnande som kräver stöd. I vård och socialtjänst ställer regelverken därtill krav på åtkomstkontroll och loggning som en okänd koppling inte kan uppfylla. Vid en incident måste ni kunna avgränsa vad som lästs, och en läsning som ser ut som en handläggares vanliga arbete går inte att avgränsa.
Det här måste någon bestämma
Att byggandet inte är problemet och att okunskapen om det är det. En organisation där ingen bygger något är inte en trygg organisation, den är en långsam.
Vad som ska anmälas och till vem, och att det är billigt att anmäla.
Vilka av era system som är så känsliga att en koppling till dem kräver beslut i förväg, skilda från de övriga. Och att en integration ska ha en namngiven ägare som inte är den som byggde den, samt att en koppling utan ägare stängs av.